CISA kritik PHP açıklarının aktif olarak sömürüldüğünü doğruladı; Cloudflare php2shell CTF düzenliyor

CISA sahadaki saldırıları doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), saldırganların PHP'deki iki kritik açığı aktif olarak sömürdüğünü doğruladı ve sivil federal kurumlara sistemlerini üç gün içinde yamalamaları talimatını verdi; bunu TechCrunch 27 Ekim'de haber yaptı. Talimat, PHP projesinin bu açıklar için düzeltmeleri yayınlamasından bir hafta bile olmadan geldi; açıklar CVE-2026-109618 ve CVE-2026-109619 olarak takip ediliyor ve topluca php2shell olarak biliniyor. TechCrunch'a göre CISA sömürünün arkasındaki kişileri açıklamadı, ancak uyarı, bağımsız araştırmacıların sahadaki saldırılara ilişkin raporlarının ardından geldi.

Bu açıklar, bir saldırganın internet üzerinden parola gerektirmeden uzaktan savunmasız bir sisteme sızmasını sağlıyor. PHP'nin web'e açık sunucuların yaklaşık yüzde 70'inde çalıştığı bildiriliyor ve TechCrunch, hataların ciddiyetinin bazı hükümetleri ve büyük şirketleri yama uygullamak için sitelerini çevrimdışı bırakmaya yönelttiğini belirtiyor. Güvenlik araştırmacıları, çalışan bir exploit oluşturmanın başlangıçta zor ama imkânsız olmadığını söylemişti; bu da doğrulanan sömürünün önemli bir tırmanma anlamına geliyor.

Uykudaki açıklar yapay zekâyla canlandı

php2shell hataları yeni keşifler değil. TechCrunch'a göre ilk kez yaklaşık iki yıl önce bildirildiler, ancak PHP'yi sürdüren kar amacı gütmeyen vakıf bunları istismar etmenin pratik bir yolu olmadığı sonucuna varınca yamalanmamış olarak bırakıldı. Bu yılın başlarında Calif adlı güvenlik firmasındaki araştırmacıların, iki uykudaki açığı bir yapay zekâ modelinin yardımıyla silahlandırmanın bir yolunu bulduğu bildirildi.

Bu ayrıntı, olayı olağandışı kılan şey. TechCrunch hataları daha büyük bir sorunun örneği olarak çerçeveliyor: Hiç düzeltilmemiş veya önceliği düşürülmüş sayısız açık, yapay zekâ modelleri — birden fazla zayıflığı zincirlemek de dahil — istismar edilebilir yollar bulmada gittikçe iyileştikçe artık gerçek risk taşıyor. Cloudflare kendi yazısında benzer bir noktaya değinerek, yapay zekânın yaygınlaşmasının saldırganların yeni saldırı vektörlerini eskisinden çok daha hızlı keşfetmesini sağladığına dikkat çekiyor.

Cloudflare'ın azaltımları ve herkese açık bir yarışma

Cloudflare, php2shell'e client güncellemeleri ve birden fazla azaltım yayınlayarak, sömürü girişimlerini engellemek için web uygulaması firewall kuralları ekleyerek ve full transaction detection adlı bir özellik sunarak yanıt verdiğini söylüyor; bunların tamamı ücretsiz plan dahil her planda mevcut. Şirket, olayı internet güvenliği için alışılmadık derecede zorlu bir hafta içinde konumlandırıyor; bu hafta sekiz eMudhra ara sertifikasının da ele geçirilmesi yer aldı.

Savunmalarını baskı testinden geçirmek için Cloudflare, HackerOne bug bounty programı üzerinden bir capture-the-flag yarışması başlattı. Hedef kasıtlı olarak savunmasız bir yığın: standart eklentilerle stock PHP 8.5.11, mod_php üzerinden Apache 2 ve bir Cloudflare Container içinde çalışan boş bir index.php; hepsi bu açıklara ilişkin varsayılan WAF kurallarının arkasında yer alıyor. Sandbox içinde, her birkaç dakikada bir sıfırlanan bir flag dosyası bulunuyor.

Ödül almak için bir katılımcı, yetkilendirilmiş bir POST isteği üzerinden saldırgan kontrollü kod veya komut yürütmeyi göstermeli, bu remote code execution'ı mevcut flag'i kurtarmak için kullanmalı, flag'i yarışma arayüzünden doğrulamalı ve tam bir yeniden üretim zinciriyle özel bir rapor dosyalalıdır. Cloudflare, ödüllerin maddi olarak belirgin bir farklı bypass yöntemi veya exploit yükü gerektirdiğini, kozmetik varyasyonların veya kısmi zincirlerin kabul edilmediğini söylüyor. Şirket ayrıca WAF engellemesinin yamalamanın yerini tutmadığı konusunda uyarıyor; çünkü saldırganın origin sunucusunda gerçekleştirdiği eylemleri geri alamaz.

Neden önemli

php2shell, sömürü ekonomisinin nasıl değiştiğine dair bir vaka çalışması. İki yıl önce istismar edilemez olarak görülüp geçiştirilen bir açık, yapay zekâ desteği devreye girdiğinde kritik ve aktif olarak sömürülen bir açığa dönüştü; bu da yazılım ekosistemindeki eski önceliklendirme kararlarına artık kesinleşmiş olarak davranılamayacağı anlamına geliyor. Ayrıca PHP gibi altyapının arkasındaki kırılgan fonlama modeline ışık tutuyor; TechCrunch, web'in büyük kısmını çalıştırmasına rağmen PHP'nin uzun süredir kaynaklardan yoksun olduğunu belirtiyor. Operatörler için pratik çıkarım net: PHP güncellemelerini şimdi uygulayın ve WAF kuralları ile diğer sanal yamaları bir çözüm değil geçici bir koruma olarak görün.